Abo
  • Services:
Anzeige
In Drupal 7 ist eine schwere Sicherheitslücke.
In Drupal 7 ist eine schwere Sicherheitslücke. (Bild: Drupal)

Security: Schwere Sicherheitslücke in Drupal 7

Im Content-Management-System Drupal 7 ist eine schwere Sicherheitslücke, über die sich Angreifer Zugriff auf eine gesamte Webseite verschaffen können. Die Lücke ist in der API, die solche Angriffe eigentlich verhindern soll. Ein Update gibt es bereits.

Anzeige

Im weit verbreiteten Open-Source-CMS Drupal 7 ist eine schwere Sicherheitslücke, die es Angreifern erlaubt, ohne Authentifizierung die Kontrolle über das gesamte CMS zu erhalten. Es handelt sich um eine SQL-Injection-Schwachstelle (CVE-2014-3704), die ausgerechnet in der Abstraktions-API ist, die solche Angriffe eigentlich verhindern soll. Die Schwachstelle besteht seit mehr als einem Jahr und war den Entwicklern wohl bekannt. Erst ein externes Sicherheitsunternehmen erkannte deren Brisanz.

Laut dem deutschen Sicherheitsunternehmen SektionEins lassen sich beliebige SQL-Eingaben ohne Authentifizierung über die Schwachstelle absetzen. Damit ließe sich die hinter der Abstraktions-API liegende Datenbank abfragen und manipulieren. Damit sind unter Umständen auch Benutzerdaten zugänglich, die auf die Webseite zugreifen. Es lässt sich aber auch PHP-Code einschleusen oder weitere Angriffe fahren. So könnte eine Webseite mit Malware infiziert werden, die über den Webbrowser eines Benutzers weitere Rechner infizieren könnte.

Brisanterweise existiert die Lücke in Drupal 7 wohl schon seit Monaten. Zumindest wurde sie im November 2013 ins Ticketsystem des CMS eingetragen. Allerdings erkannten die Entwickler dort nicht, wie gravierend die Schwachstelle ist. Erst als SektionEins Mitte September 2014 Alarm schlug, schlossen die Drupal-Entwickler die Schwachstelle. Anwendern wird dringend geraten, auf Version 7.32 zu aktualisieren, die Drupal am 15. Oktober 2014 veröffentlicht hat. Drupal ist recht weit verbreitet, Experten gehen davon aus dass die Software von etwa 900.000 Webseiten genutzt wird.


eye home zur Startseite
C_Logemann 19. Apr 2015

Gerade die Mitte Oktober 2014 geschlossene Sicherheitslücke konnte massiv ausgenutzt...

SvenK. 17. Okt 2014

Da kann man auch nichts schönreden. Von März bis Oktober! Ich möchte nicht wissen...

jt (Golem.de) 16. Okt 2014

Örks. Ein Zahlendreher. Danke für das Feedback.



Anzeige

Stellenmarkt
  1. über SCHLAGHECK RADTKE OLDIGES executive consultants GmbH, Süd­deutschland
  2. Terra Canis GmbH, München
  3. German RepRap GmbH, Feldkirchen bei München
  4. Media-Saturn IT-Services GmbH, Ingolstadt


Anzeige
Hardware-Angebote
  1. und Civilization VI gratis erhalten

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. Petya-Variante

    Goldeneye-Ransomware verschickt überzeugende Bewerbungen

  2. Sony

    Mehr als 50 Millionen Playstation 4 verkauft

  3. Weltraumroboter

    Ein R2D2 für Satelliten

  4. 300 MBit/s

    Warum Super Vectoring bei der Telekom noch so lange dauert

  5. Verkehrssteuerung

    Audi vernetzt Autos mit Ampeln in Las Vegas

  6. Centriq 2400

    Qualcomm zeigt eigene Server-CPU mit 48 ARM-Kernen

  7. VG Wort Rahmenvertrag

    Unis starten in die Post-Urheberrecht-Ära

  8. Ultrastar He12

    WD plant Festplatten mit bis zu 14 Terabyte

  9. LG

    Weitere Hinweise auf Aufgabe des bisherigen Modulsystems

  10. Onlinewerbung

    Forscher stoppen monatelange Malvertising-Kampagne



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Super Mario Bros. (1985): Fahrt ab auf den Bruder!
Super Mario Bros. (1985)
Fahrt ab auf den Bruder!
  1. Quake (1996) Urknall für Mouselook, Mods und moderne 3D-Grafik
  2. NES Classic Mini im Vergleichstest Technischer K.o.-Sieg für die Original-Hardware

HPE: Was The Machine ist und was nicht
HPE
Was The Machine ist und was nicht
  1. IaaS und PaaS Suse bekommt Cloudtechnik von HPE und wird Lieblings-Linux
  2. Memory-Driven Computing HPE zeigt Prototyp von The Machine
  3. HPE Hikari Dieser Supercomputer wird von Solarenergie versorgt

Breath of the Wild: Spekulationen über spielbare Zelda
Breath of the Wild
Spekulationen über spielbare Zelda
  1. Konsole Nintendo gibt Produktionsende der Wii U bekannt
  2. Hybridkonsole Nintendo will im ersten Monat 2 Millionen Switch verkaufen
  3. Switch Nintendo erwartet breite Unterstützung durch Entwickler

  1. Re: Nicht schlecht für den Anfang, aber...

    oxybenzol | 17:27

  2. Re: CPU Entwicklung eh lächerlich...

    ckerazor | 17:26

  3. Moodle

    v2nc | 17:24

  4. Re: Nicht kooperativ

    Missingno. | 17:22

  5. Re: Personalabteilungen sind ein Super Ziel

    Anonymouse | 17:21


  1. 17:04

  2. 16:33

  3. 16:10

  4. 15:54

  5. 15:50

  6. 15:40

  7. 15:34

  8. 14:43


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel